CN105208041B

CN105208041B - 基于hook的云存储应用加密数据包破解方法

Info

Publication number: CN105208041B
Application number: CN201510665184.8A
Authority: CN
Inventors: 谢怡; 周浩程; 罗夏朴; 薛国治; 于乐; 陈福沨
Original assignee: Xiamen University; Shenzhen Research Institute of Xiamen University
Current assignee: Xiamen University; Shenzhen Research Institute of Xiamen University
Priority date: 2015-10-15
Filing date: 2015-10-15
Publication date: 2018-09-21
Anticipated expiration: 2035-10-15
Also published as: CN105208041A

Abstract

本发明涉及一种基于HOOK的云存储应用加密数据包破解方法，分析云存储客户端程序，找到需要设置HOOK点的函数，通过获取并且修改API传入的参数，进而返回结果，获取云存储客户端与服务器进行通信的数据明文。本发明适用各种语言实现的云存储客户端，对于认证的方式没有特殊要求，具有广泛的兼容性；不受用户网络环境的影响，无需在客户端和服务器之间增加代理服务器、不受客户端Certification pinning安全技术的限制，具有广泛的适用性。

Description

基于HOOK的云存储应用加密数据包破解方法

技术领域

本发明涉及网络安全领域，更具体地说，涉及一种基于HOOK的云存储应用加密数据包破解方法。

背景技术

云存储是由云计算衍生出来的概念，通过共享的软硬件资源可以按需求提供给计算机和其他设备。目前互联网上可供用户选择的云存储服务种类繁多，各具特色。其中，用户量较多、认可度也比较高的主流云存储产品包括：百度网盘、金山快盘、Dropbox、GoogleDrive和Box等。这些产品为用户提供了相当大的个人存储空间，承担着备份文件，分享文件和传递文件等重要功能。

云存储安全一直以来是云存储在发展过程中研究的热点和重点之一，包括了用户账号的保密程度，以及传输协议的加密等级。这关系到用户的隐私信息是否会被黑客通过一些非法的手段获取。

大多数的云存储提供商都提供了传输和存储数据的加密。在传输的过程中使用HTTPS使黑客在直接嗅探攻击时，仅仅能捕获到一些作用并不大的数据密文，保证了数据传输的安全性。云存储基础设施之一是提供可靠、安全的数据存储中心。因此，存储安全是云计算领域的安全话题之一。为解决数据隐私的保护问题，常见的方法是由用户对数据进行加密，把加密后的密文信息存储在服务端。

虽然云存储提供商对传输和存储过程提供了保护，但是依然会出现很多漏洞使黑客得以绕过保护并获取数据。专家们对云存储的安全性进行了一些研究，并且提出了一些破解的方法，希望能提高云存储的安全性，但是这些方法都有它们的局限性。

Kholia等人基于TCP/IP模型中的传输层，提出了一种方案，即：通过对Python打包的可执行文件进行解包，修改SSLSocket对象并获取其传入参数进行SSL监听。这种方案适用于由Python编写并且采用了SSLSocket类进行通讯的云存储客户端，所以存在适用范围的问题。对于未采用SSLSocket类，或是其他语言开发的云存储客户端则需要采取其他方案。

Osborne等人基于TCP/IP模型中的传输层，对SSL加密中的一个安全技术Certificate Pinning做出了解释。Certificate Pinning是在客户端中预先固化了的服务器证书。在与服务器建立连接时，将验证该证书的正确性。如果证书被伪造，服务器将会拒绝连接。此外，工具android-ssl-bypass提出可以在IOS系统与Android系统中，通过调试接口绕过这一验证的方案。但该方案的不足之处是，必须预先知道客户端运用了哪个类对证书进行了验证。如果客户端采用的并不是常规的如TrustManager类的验证，该方案则难以实现。

发明内容

本发明的目的在于克服现有技术的不足，提供一种适用性广，不受用户网络环境影响的基于HOOK的云存储应用加密数据包破解方法。

本发明的技术方案如下：

一种基于HOOK的云存储应用加密数据包破解方法，分析云存储客户端程序，找到需要设置HOOK点的函数，通过获取并且修改API传入的参数，进而返回结果，获取云存储客户端与服务器进行通信的数据明文。

作为优选，云存储客户端与服务器进行通信时，找到加密函数和解密函数的入口HOOK点，修改send函数和recv函数的流程为先导出数据明文、再发送或接收。

作为优选，加密函数和解密函数的入口HOOK点的方法为，通过调试、逆向跟踪send函数和recv函数，找到加密函数、解密函数的入口。

作为优选，调试、逆向跟踪send函数，捕获云存储客户端发送到服务器的数据时，修改send API函数体；调试、逆向跟踪recv函数，捕获服务器发送到云存储客户端的数据时，修改recv API函数体。

作为优选，云存储客户端在执行程序时，首先生成要发送的数据的明文字符串，然后跳转到攻击者的HOOK函数中，将数据明文进行记录，再导出为文件，然后加密发送至服务器；云存储客户端在执行程序时，Socket API从服务器接收到密文，进行解密，跳转到修改的HOOK函数中，将数据明文进行记录，再导出为文件，再由云存储客户端接收。

作为优选，通过进程流入或内存修改的方式，对send函数和recv函数的流程进行修改。

作为优选，修改send函数的流程的方法为，通过对系统Socket API中的send函数添加断点，找到明文位置，在SSLSend函数上设立HOOK点，回溯到send函数的起始位置，将与当前地址无关指令的字节修改为跳转至原先的SSLSend函数。

作为优选，修改recv函数的流程的方法为，通过执行程序至recv函数结束，在缓冲区添加内存断点，找到解码函数，将当前地址无关指令的字节修改为跳转至原先的SSLSend函数。

作为优选，通过动态追踪工具OllyBDG加载云存储客户端，找到需要设置HOOK点的加密、解密函数，获得并且修改系统API传入的参数。

作为优选，以dll文件的形式，注入至云存储客户端执行程序，获取云存储客户端与服务器进行通信的数据明文。

本发明的有益效果如下：

(1)适用各种语言实现的云存储客户端，对于认证的方式没有特殊要求，具有广泛的兼容性。

(2)不受用户网络环境的影响，无需在客户端和服务器之间增加代理服务器、不受客户端Certification pinning安全技术的限制，具有广泛的适用性。

附图说明

图1是获得云存储客户端发送明文数据的流程图；

图2是捕获并获得云存储客户端接收服务器发送明文数据的流程图；

图3是实施例中，源程序中调用方式示意图；

图4是实施例中，增设HOOK后调用方式示意图。

具体实施方式

以下结合附图及实施例对本发明进行进一步的详细说明。

本发明为了克服现有技术的不足，提供一种基于HOOK的云存储应用加密数据包破解方法，分析云存储客户端程序，找到需要设置HOOK点的函数，通过获取并且修改API传入的参数，进而返回结果，获取云存储客户端与服务器进行通信的数据明文。本发明主要流程为，云存储客户端与服务器进行通信时，找到加密函数和解密函数的入口HOOK点，修改send函数和recv函数的流程为先导出数据明文、再发送或接收。

如图1所示，获得云存储客户端发送明文数据的流程为，通过修改API函数体，在SSLSend函数上增设HOOK点，修改程序的流程，将尚没有加密的数据先导出到文件中，再加密发送。

如图2所示，捕获并获得云存储客户端接收服务器发送明文数据的流程为，等待recv函数执行完毕，通过在缓冲区中添加断点，在中断处找到解码函数，在解码函数中增设HOOK点，修改程序的流程，将已经解密的数据先导出到文件中，再由云存储客户端接收。

以上的每个流程分为两大步骤：

步骤一，找到加密/解密函数的入口，即HOOK点。

步骤二，找到入口点以后，把原代码的流程修改为先导出、再发送/接收的流程。

上述步骤一中，加密函数和解密函数的入口HOOK点的方法为，通过调试、逆向跟踪send函数和recv函数，找到加密函数、解密函数的入口。

调试、逆向跟踪send函数，捕获云存储客户端发送到服务器的数据时，修改sendAPI函数体；调试、逆向跟踪recv函数，捕获服务器发送到云存储客户端的数据时，修改recvAPI函数体。

云存储客户端在执行程序时，首先生成要发送的数据的明文字符串，然后跳转到攻击者的HOOK函数中，将数据明文进行记录，再导出为文件，然后加密发送至服务器；云存储客户端在执行程序时，Socket API从服务器接收到密文，进行解密，跳转到修改的HOOK函数中，将数据明文进行记录，再导出为文件，再由云存储客户端接收。

具体地，修改send函数的流程的方法为，通过对系统Socket API中的send函数添加断点，找到明文位置，在SSLSend函数上设立HOOK点，回溯到send函数的起始位置，将与当前地址无关指令的字节修改为跳转至原先的SSLSend函数。修改recv函数的流程的方法为，通过执行程序至recv函数结束，在缓冲区添加内存断点，找到解码函数，将当前地址无关指令的字节修改为跳转至原先的SSLSend函数。

上述步骤二中，通过进程流入或内存修改的方式，对send函数和recv函数的流程进行修改。将本发明所述的方法编译成dll文件，以dll文件的形式，注入至云存储客户端执行程序，获取云存储客户端与服务器进行通信的数据明文。

本实施例中，通过动态追踪工具OllyBDG加载云存储客户端，找到需要设置HOOK点的加密、解密函数，获得并且修改系统API传入的参数。

获取云存储客户端发送数据包的明文信息，步骤如下：

1.1)用OllyBDG加载云存储客户端可执行文件；

1.2)运行该执行文件，通过命令bp ws2_32.send对系统Socket API中的send函数添加断点。在程序被成功断下来之后，查看堆栈窗口中的情况；

1.3)循环步骤1.2)，直至出现第一次HTTP首部的发送，堆栈中出现了HTTP协议的明文；

1.4)在反汇编窗口，通过Send函数的返回指针找到SSLSend的起始位置；

1.5)在SSLSend函数上设立HOOK点，使其在执行之前先跳入自设定的HOOK函数，将参数写入文件后再返回原先的SSLSend继续执行，可在对于原程序完全透明的情况下将发送数据导出。

获取云存储客户端接收的数据包，步骤如下：

2.1)用OllyBDG加载云存储客户端可执行文件；

2.2)通过命令bp ws2_32.recv对系统recv函数添加断点；

2.3)操作执行到recv函数结束，在缓冲区添加内存断点；

2.4)执行程序，在中断处找到解码函数；

2.5)在解码函数处设立HOOK点，使其在执行之前先跳入自设定的HOOK函数，将参数写入文件后再返回原先的解码函数继续执行。

以send函数HOOK点为例，本发明推测的源程序中调用方式如图3所示，以期望找到HOOK点。通过动态OllyBDG调试器进行动态分析之后，根据堆栈情况可以推断源程序中进行的调用方式，找到HOOK的入口点。这一推断有助于寻找内存中明文的位置，事实上因为该方法没有符号表，推测可能会与程序开发者的想法存在一些偏差，但是那并不影响最终的结果。

找到明文的位置后，下一步就是把明文从内存中导出来。在SSLSend函数设立HOOK点，使其在执行之前先跳入到自定的HOOK函数中，将参数写入文件后再返回原先的SSLSend继续执行。这样即可在对于原程序完全透明的情况下将数据导出，然后再加密发送，如图4所示。

通过本发明所述的方法，可以成功捕获到云存储客户端的通讯协议，以Dropbox为例子，提取到信息如下：

[SEND]Timestamp：1400508550943 Length：671

POST/register host HTTP/1.1

Host：client48.dropbox.com

Accept-Encoding：identity

Content-type：application/x-www-form-urlencoded

Connection：keep-alive

X-Dropbox-Locale：zh_CN

Content-Length：399

User-Agent：DropboxDesktopClient/2.6.31(Windows；7；i32；zh_CN)

uuid＝5223912430&server_list＝True&install_type＝None&hostname＝WIN-JA56F7FBV7S&oem_model_info

[RECV]Timestamp：1400508551177 Length：5920

HTTP/1.1 200 OK

Server：nginx

Date：Mon，19 May 2014 14：09：11 GMT

Content-Type：application/json

Transfer-Encoding：chunked

Connection：keep-alive

cache-control：no-cache

x-content-type-options：nosniff

x-dropbox-messages：{″％(plan_size)s Drop″：{″s″：{″2 GB Dropbox″，″100GB Dropbox″，″200

pragama：no-cache

cache-control：no-cache

1372

{″host_int″：1373418465，″blockexcserver″：″dl-debug37.dropbox.com，dl-debug7.dropbox.com，dlselscted″：2，″multisurl″：″photos？share＝1″，″menuitem″：[″\u5728 Dropbox.com\u4e0a\u517\u：0}，″device_uid″：{″blockable″：0)，″client_userid″{″blockable″：0)，″file_hashfull″：{

上述信息的注释如下：

1、数据发送/接受的时间戳，能够用于进行传输速率、延迟等计算。

2、URI，分析云存储客户端当前的操作。

3、域名，获得云存储客户端通信的地址。

4、云存储客户端发送的协议内容，分析可能包含的敏感信息，如账号密码。

5、服务器返回的状态码，得到服务器状态，分析是否支持断点续传等。

6、服务器返回数据的格式。

7、服务器返回的协议内容，分析是否包含了敏感信息，以及云存储客户端操作的结果。

上述实施例仅是用来说明本发明，而并非用作对本发明的限定。只要是依据本发明的技术实质，对上述实施例进行变化、变型等都将落在本发明的权利要求的范围内。

Claims

1.一种基于HOOK的云存储应用加密数据包破解方法，其特征在于，分析云存储客户端程序，找到需要设置HOOK点的函数，通过获取并且修改API传入的参数，进而返回结果，获取云存储客户端与服务器进行通信的数据明文；具体为：

云存储客户端与服务器进行通信时，找到加密函数和解密函数的入口HOOK点，修改send函数和recv函数的流程为先导出数据明文、再发送或接收；

其中，获得云存储客户端发送明文数据的流程为，通过修改API函数体，在SSLSend函数上增设HOOK点，修改程序的流程，将尚没有加密的数据先导出到文件中，再加密发送；

捕获并获得云存储客户端接收服务器发送明文数据的流程为，等待recv函数执行完毕，通过在缓冲区中添加断点，在中断处找到解码函数，在解码函数中增设HOOK点，修改程序的流程，将已经解密的数据先导出到文件中，再由云存储客户端接收。

2.根据权利要求1所述的基于HOOK的云存储应用加密数据包破解方法，其特征在于，加密函数和解密函数的入口HOOK点的方法为，通过调试、逆向跟踪send函数和recv函数，找到加密函数、解密函数的入口。

3.根据权利要求2所述的基于HOOK的云存储应用加密数据包破解方法，其特征在于，调试、逆向跟踪send函数，捕获云存储客户端发送到服务器的数据时，修改send API函数体；调试、逆向跟踪recv函数，捕获服务器发送到云存储客户端的数据时，修改recv API函数体。

4.根据权利要求3所述的基于HOOK的云存储应用加密数据包破解方法，其特征在于，云存储客户端在执行程序时，首先生成要发送的数据的明文字符串，然后跳转到攻击者的HOOK函数中，将数据明文进行记录，再导出为文件，然后加密发送至服务器；云存储客户端在执行程序时，Socket API从服务器接收到密文，进行解密，跳转到修改的HOOK函数中，将数据明文进行记录，再导出为文件，再由云存储客户端接收。

5.根据权利要求4所述的基于HOOK的云存储应用加密数据包破解方法，其特征在于，通过进程流入或内存修改的方式，对send函数和recv函数的流程进行修改。

6.根据权利要求5所述的基于HOOK的云存储应用加密数据包破解方法，其特征在于，修改send函数的流程的方法为，通过对系统Socket API中的send函数添加断点，找到明文位置，在SSLSend函数上设立HOOK点，回溯到send函数的起始位置，将与当前地址无关指令的字节修改为跳转至原先的SSLSend函数。

7.根据权利要求5所述的基于HOOK的云存储应用加密数据包破解方法，其特征在于，修改recv函数的流程的方法为，通过执行程序至recv函数结束，在缓冲区添加内存断点，找到解码函数，将当前地址无关指令的字节修改为跳转至原先的SSLSend函数。

8.根据权利要求1所述的基于HOOK的云存储应用加密数据包破解方法，其特征在于，通过动态追踪工具OllyBDG加载云存储客户端，找到需要设置HOOK点的加密、解密函数，获得并且修改系统API传入的参数。

9.根据权利要求5所述的基于HOOK的云存储应用加密数据包破解方法，其特征在于，以dll文件的形式，注入至云存储客户端执行程序，获取云存储客户端与服务器进行通信的数据明文。